HodeiShield®

Was Ihre Daten schützt und was wir nicht versprechen.

Ihr Datenschutzbeauftragter und Ihr Auditor werden fragen, wo alles liegt und was zertifiziert ist. Diese Seite antwortet mit allen Nuancen, einschließlich des US-Anbieters auf dem Anfragepfad.

Demo anfragenUnterauftragsverarbeiter ansehen (öffnet sich in einem neuen Tab)
  • Zertifiziert nach ENS (Kategorie Mittel), Nr. 34/5704/26/09103, OCA Instituto de Certificación, und ISO/IEC 27001 · Hodeitek S.L.; der Geltungsbereich umfasst den SaaS-Dienst HodeiShield.
  • Die Plattformsicherheit orientiert sich an OWASP ASVS, ohne Zertifizierung.
Sicherheits­datenblatt
Hosting
OVH, Gravelines (Frankreich, EU)
Auf dem Pfad
Cloudflare (USA): DNS, CDN und TLS
Passwörter
Gespeichert mit einem Algorithmus, der Brute-Force-Angriffen widersteht
Mehrfaktor
Einmalcodes, Passkeys und SSO; Ihre Organisation kann es erzwingen
Geheimnisse
Zugangsdaten und Geheimnisse werden verschlüsselt gespeichert
Isolation
Jeder Kunde sieht nur seine eigenen Daten; die Datenbank selbst erzwingt das
Audit
Unveränderliches Audit-Protokoll
Referenz
Orientiert an OWASP ASVS (nicht zertifiziert)
Technische Einzelheiten
  • Passwörter: Argon2id-Hash.
  • Mehrfaktor: TOTP, Passkeys und SSO.
  • Geheimnisse: AES-256-GCM-Verschlüsselung.
  • Isolation: erzwungene Sicherheit auf Zeilenebene (RLS mit FORCE) in PostgreSQL.

Fakten zur Plattform, ohne Verfügbarkeitszahlen und ohne Siegel.

Wo Ihre Daten liegen und wer dafür einsteht

Infrastruktur und Daten werden in der EU gehostet. Cloudflare, ein US-Unternehmen, liegt auf dem Pfad jeder Anfrage. Beides stimmt gleichzeitig.

Pfad einer Anfrage

  1. Ihre Organisation

    Browser, CLI oder Endpoint-Agent

    Wo die Anfrage beginnt

  2. Cloudflare

    DNS, CDN und TLS

    US-Unternehmen

  3. OVH

    Verwaltetes Hosting von Anwendung, Datenbank und Speicher

    Gravelines, Frankreich (EU)

OVH hostet die Anwendung, die Datenbank und den Speicher. Cloudflare übernimmt DNS, CDN und TLS, sodass der Datenverkehr zur Plattform durch sein Netz läuft.

Was in der EU liegt

Die Anwendung, die Datenbank und der Objektspeicher, bei OVH Gravelines. Die KI des Copiloten stellt Mistral AI bereit; deren Verarbeitungsregion geben wir nicht an.

Doku · Unterauftragsverarbeiter (öffnet sich in einem neuen Tab)

Was wir nicht sagen können

Wir sagen nicht, dass keine Daten US-Infrastruktur berühren oder dass die Plattform frei von US-Anbietern ist: Cloudflare liegt auf dem Pfad. Wenn das für Ihre Risikoanalyse zählt, fragen Sie uns vor der Demo.

Plattformarchitektur

Wie die Plattform geschützt ist

Kontrollen, die die Konsole heute umsetzt, erklärt anhand dessen, was sie gewährleisten. Die genauen technischen Bezeichnungen stehen jeweils unter „Technische Einzelheiten“. Das Referenzrahmenwerk ist OWASP ASVS: Die Plattform orientiert sich daran, ist aber nicht zertifiziert.

Zugangsdaten und Zugriff

Wer hineinkommt und mit welcher Sicherheit.

  • Passwörter werden mit einem Algorithmus gespeichert, der Brute-Force-Angriffen widersteht.
  • Mehrfaktor-Anmeldung mit Einmalcodes, Passkeys und Single Sign-on (SSO).
  • Mehrfaktor ist standardmäßig optional, und ein Administrator kann ihn über die Organisationsrichtlinie erzwingen.

Geltungsbereich: Ihn zu erzwingen ist die Entscheidung Ihres Administrators: Er ist nicht vorgegeben.

Technische Einzelheiten
  • Passwörter: Argon2id-Hash.
  • Mehrfaktor: TOTP, Passkeys und SSO.

Verschlüsselt gespeicherte Geheimnisse und Zugangsdaten

Zugangsdaten für Integrationen und Mehrfaktor-Geheimnisse werden verschlüsselt gespeichert.

  • Webhook-Geheimnisse werden nur einmal angezeigt, beim Erstellen.
Technische Einzelheiten
  • Verschlüsselung: AES-256-GCM.

Isolation zwischen Organisationen

Jeder Kunde sieht nur seine eigenen Daten: Die Isolation erzwingt die Datenbank selbst, nicht nur die Anwendung.

  • Token für API, CLI und MCP gelten für genau eine Organisation: die, die Sie bei der Zugriffsfreigabe wählen.
Technische Einzelheiten
  • Jede Abfrage läuft über den Mandantenkontext.
  • PostgreSQL wendet erzwungene Sicherheit auf Zeilenebene an (RLS mit FORCE).

Nachvollzieh­barkeit

Ein unveränderliches Audit-Protokoll der Plattformaktivität und ein Register der ACT-Aktionen, das festhält, wer was getan hat.

  • Das Aktionsregister fügt nur Einträge hinzu, jeder ist mit dem vorherigen verkettet, und sie werden stapelweise signiert: Jeder kann es mit dem öffentlichen Schlüssel prüfen.

Geltungsbereich: Post-Quanten-Signaturen (ML-DSA-65) schützen Attestierungen und das Aktionsregister. Den laufenden Datenverkehr verschlüsseln sie nicht.

Technische Einzelheiten
  • Ein nur anhängbares Aktionsregister, hash-verkettet und stapelweise mit ML-DSA-65 signiert, prüfbar mit dem öffentlichen Schlüssel.
  • ML-DSA-65 (FIPS 204) ist eine Post-Quanten-Signatur.

Was mit Ihren Daten geschieht, wenn Sie HodeiAI nutzen

Der Copilot sendet Inhalte an einen KI-Anbieter. Das sind die genauen Grenzen dieser Verarbeitung.

Was pseudonymisiert wird

Vor dem Senden ersetzt HodeiShield die personenbezogenen Daten, die es erkennt, durch Platzhalter.

  • E-Mail-Adressen, Telefonnummern, nationale Ausweisnummern, IBANs und die Namen der Nutzer Ihrer Organisation und der Ansprechpartner Ihrer Lieferanten.
  • Die Tabelle, die Platzhalter und Wert zuordnet, existiert nur für die Dauer der Anfrage im Arbeitsspeicher.

Geltungsbereich: Namen von Personen, die weder Nutzer noch Lieferantenkontakte Ihrer Organisation sind, werden nicht erkannt und so gesendet, wie sie geschrieben sind. Der Inhalt selbst (zum Beispiel der Name eines Lieferanten) kann Ihr Geschäft weiterhin beschreiben. Das gilt für HodeiAI und den virtuellen CISO. Die Risikoanalyse der Lieferantenscans pseudonymisiert nicht: Sie sendet die Domain des Lieferanten und die Befunde. Dieser Aufruf erfolgt nur, wenn HodeiAI für Ihre Organisation aktiviert ist.

Wie lange es aufbewahrt wird und wer es steuert

Unterhaltungen werden höchstens 90 Tage aufbewahrt und dann automatisch gelöscht.

  • Ein Administrator kann HodeiAI abschalten; solange es aus ist, erfolgen für diese Organisation keine Aufrufe an Mistral AI.
  • Es handelt nie ohne Ihre ausdrückliche Bestätigung.

Geltungsbereich: Es fragt die Live-Daten Ihrer Organisation über Werkzeuge ab; es ist kein RAG-System.

Zertifizierungen: ENS und ISO/IEC 27001, mit HodeiShield im Geltungsbereich

Wir sagen es klar, damit im Audit niemand raten muss.

Hodeitek S.L., das Unternehmen

Was wir nicht beanspruchen

  • Weder Zertifizierung Ihrer Compliance noch CPSTICHodeiShield misst Ihre Sicherheitslage, zertifiziert aber nicht Ihre Compliance und ist nicht im CPSTIC-Katalog gelistet, der etwas anderes ist. Seine Sicherheit orientiert sich an OWASP ASVS, ohne Zertifizierung.

ECSO-Label „Cybersecurity Made in Europe“

Hodeitek führt das Label, das eine selbst erklärte europäische Herkunft ausdrückt. Es ist keiner Zertifizierung gleichwertig. Hodeitek erscheint außerdem im INCIBE-Katalog, der eine Auflistung und keine Akkreditierung ist.

Was nicht zugesichert wird

Was man vielleicht für selbstverständlich hält, es aber nicht ist.

  1. Dass keine Daten über die USA laufen

    Cloudflare, ein US-Unternehmen, übernimmt DNS, CDN und TLS auf dem Anfragepfad.

  2. Dass wir Ihre Compliance zertifizieren

    Die Zertifizierungen von Hodeitek S.L. nach ISO/IEC 27001 und ENS (Kategorie Mittel) schließen HodeiShield in ihren Geltungsbereich ein, doch HodeiShield zertifiziert nicht die Compliance Ihrer Organisation. Die Orientierung an OWASP ASVS ist keine Zertifizierung.

  3. Dass Mehrfaktor aktiviert ist

    Er ist standardmäßig optional. Die Richtlinie Ihrer Organisation aktiviert oder erzwingt ihn.

  4. Dass eine Attestierung Compliance belegt

    Sie belegt Integrität, Herkunft und Zeitpunkt des Signierten. Sie belegt nicht, dass es wahr ist, und es gibt kein öffentliches Transparenzprotokoll. Signaturschlüssel werden als Plattformgeheimnisse verwaltet, nicht in einem Hardware-Sicherheitsmodul (HSM).

  5. Dass HodeiAI nie personenbezogene Daten sieht

    Es pseudonymisiert, was es erkennt; was es nicht erkennt, wird so gesendet, wie es geschrieben ist.

  6. Verfügbarkeits­zahlen

    Wir veröffentlichen auf dieser Website weder ein SLA noch Verfügbarkeitskennzahlen.

Verantwortungs­volle Offenlegung

Wenn Sie glauben, eine Schwachstelle gefunden zu haben, schreiben Sie uns, bevor Sie sie veröffentlichen.

security@hodeitek.com

Dies ist der Kanal von Hodeitek für Sicherheitsthemen. Verschlüsselte E-Mail bieten wir nicht an.

  1. Melden Sie sie vertraulich: über die private Schwachstellenmeldung von GitHub im öffentlichen Repository des betroffenen Produkts (hodeishield-cli oder hodeishield-attest-verifier) oder per E-Mail an security@hodeitek.com. Website, Konsole und Agent haben kein öffentliches Repository; nutzen Sie dafür die E-Mail.
  2. Geben Sie die betroffene URL, den Mandanten oder das Produkt samt Version, die Schritte zur Reproduktion, die von Ihnen gesehene Auswirkung und eine Kontaktmöglichkeit an. Senden Sie niemals einen echten API-Schlüssel oder ein echtes Token.
  3. Wir bestätigen den Eingang, halten Sie während der Analyse auf dem Laufenden und stimmen das Veröffentlichungsdatum mit Ihnen ab.

Im Geltungsbereich

  • hodeishield.com und www.hodeishield.com.
  • app.hodeishield.com, nur wenn Sie an der Beta teilnehmen und innerhalb Ihres eigenen Mandanten bzw. Arbeitsbereichs.
  • Der HodeiShield-Agent. Er hat kein öffentliches Repository: Melden Sie per E-Mail.
  • Das Kommandozeilenwerkzeug (hodeishield-cli) in seinem öffentlichen Repository.
  • Der Attestierungs-Verifizierer (hodeishield-attest-verifier) in seinem öffentlichen Repository.

Außerhalb des Geltungsbereichs

  • Denial-of-Service und Lasttests.
  • Social Engineering und physische Angriffe.
  • Dienste Dritter (Cloudflare, Turnstile, Analyse-Tags).
  • Ausgaben automatisierter Scanner ohne nachgewiesene Auswirkung.
  • Fehlende Header ohne mögliche Ausnutzung.
  • Formular-Spam.

Regeln

  • Nutzen Sie nur Ihre eigenen Konten.
  • Greifen Sie nicht auf Daten anderer zu, ändern Sie sie nicht und behalten Sie sie nicht.
  • Wenn Sie offengelegte Daten sehen, hören Sie beim ersten Fund auf und teilen Sie es uns mit.
  • Beeinträchtigen Sie den Dienst nicht und schaden Sie seinen Nutzern nicht.
  • Wir ergreifen keine rechtlichen Schritte wegen Recherche nach Treu und Glauben, die dieser Richtlinie folgt.

Zielfristen für Antwort und Behebung

Eingangsbestätigung und erste Bewertung in Arbeitstagen, alle übrigen Fristen in Kalendertagen. Die Ziele für die Behebung gelten für die Auslieferung einer korrigierten Version, gerechnet ab der ersten Bewertung. Es sind die Fristen, nach denen wir arbeiten, kein SLA.

Eingangsbestätigung
3 Arbeitstage
Erste Bewertung
10 Arbeitstage
Statusmeldungen
Mindestens alle 14 Tage
Ziel für die Behebung, kritisch
7 Tage
Ziel für die Behebung, hoch
30 Tage
Ziel für die Behebung, mittel
90 Tage
Ziel für die Behebung, niedrig
Mit der nächsten Version
Koordinierte Offenlegung
90 Tage ab Ihrer Meldung; bei aktiver Ausnutzung der Schwachstelle können wir früher veröffentlichen

Wir zahlen keine Prämien. Mit Ihrer Erlaubnis nennen wir Sie öffentlich als Entdecker.

Vertrauen: wo jedes Dokument liegt

Ein Verzeichnis dessen, was Sie vor der Unterzeichnung anfordern oder prüfen können. Jeder Link führt zum geltenden Text, nicht zu einer Zusammenfassung.

Zertifizierungen

Hodeitek S.L. ist nach ISO/IEC 27001 und nach dem ENS, Kategorie Mittel, zertifiziert (Zertifikat Nr. 34/5704/26/09103), mit dem SaaS-Dienst HodeiShield im Geltungsbereich. Was wir nicht zertifizieren, steht im selben Abschnitt.

Trust Center

HodeiShield hat kein eigenes öffentliches Vertrauensportal. Das Trust Center ist eine Funktion der Konsole, mit der jeder Kunde sein eigenes Portal veröffentlicht; es wird nach der Anmeldung in der Konsole verwaltet.

Weitere Einzelheiten

Fragen von Datenschutz­beauftragten und Audits

Die häufigsten, mit der Antwort, die einer Prüfung standhält.

Verlassen Daten die EU?

Anwendung, Datenbank und Speicher liegen bei OVH Gravelines (Frankreich). Cloudflare, ein US-Unternehmen, übernimmt DNS, CDN und TLS auf dem Anfragepfad; wir können daher nicht versprechen, dass keine Daten US-Infrastruktur berühren.

Besitzt HodeiShield eine Zertifizierung nach ISO 27001 oder ENS?

Ja. Hodeitek S.L. besitzt Zertifizierungen nach ISO/IEC 27001 und ENS, Kategorie Mittel (ENS-Zertifikat Nr. 34/5704/26/09103, ausgestellt von OCA Instituto de Certificación), deren Geltungsbereich den SaaS-Dienst HodeiShield einschließt. Das zertifiziert nicht die Compliance Ihrer Organisation, und der CPSTIC-Katalog ist etwas anderes, das wir nicht beanspruchen.

Was bedeutet „an OWASP ASVS orientiert“?

Dass die Sicherheitskontrollen der Plattform mit ASVS als Referenz entworfen wurden. Es ist keine Zertifizierung, und kein Dritter stellt sie aus.

Sendet HodeiAI personenbezogene Daten an Dritte?

Es sendet Inhalte an Mistral AI. Zuvor pseudonymisiert es die erkannten personenbezogenen Daten (E-Mail-Adressen, Telefonnummern, Ausweisnummern, IBANs und die Namen Ihrer Nutzer und Kontakte), nicht aber, was es nicht erkennt. Die Risikoanalyse der Lieferantenscans pseudonymisiert nicht: Sie sendet die Domain des Lieferanten und die Befunde. Ein Administrator kann es abschalten.

Wie melde ich eine Schwachstelle?

Schreiben Sie an security@hodeitek.com mit der betroffenen URL oder dem betroffenen Mandanten, den Schritten zur Reproduktion, der Auswirkung und einer Kontaktmöglichkeit. Geltungsbereich, Regeln und Richtwerte für Fristen stehen im Abschnitt zur verantwortungsvollen Offenlegung dieser Seite.

Gehen Sie diese Punkte mit Ihrem Datenschutz­beauftragten durch

Wenn Ihre Risikoanalyse mehr Details braucht, besprechen wir sie in der Demo mit wem Sie möchten.

Ein Arbeitsgespräch, unverbindlich.

Demo anfragenUnterauftragsverarbeiter ansehen (öffnet sich in einem neuen Tab)